Delegieren ja – Aufsicht verlieren nein
NIS2 verlangt keine persönliche Durchführung jeder Cybersecurity-Maßnahme durch die Geschäftsleitung. Operative Aufgaben können und müssen in komplexen Unternehmen auf geeignete Rollen verteilt werden. Die Geschäftsleitung bleibt jedoch verpflichtet, die Umsetzung der erforderlichen Risikomanagementmaßnahmen sicherzustellen und zu überwachen.
Eine wirksame Delegation braucht deshalb mehr als einen Titel. Sie benötigt klaren Scope, Kompetenz, Ressourcen, Berichtspflichten, Eskalationsrechte, Stellvertretung und nachvollziehbare Managemententscheidungen.
Drei Ebenen sauber trennen
| Ebene | Aufgabe | Beispiel |
|---|---|---|
| Leitungsaufsicht | Prioritäten, Ressourcen, Überwachung, wesentliche Risikoentscheidungen | Geschäftsleitung |
| Fachliche Verantwortung | Methodik, Vorgaben, Steuerung eines Themenfeldes | CISO/ISB, CIO, BCM-Verantwortlicher |
| Operative Durchführung | konkrete technische oder organisatorische Aktivitäten | IT Operations, Einkauf, Fachbereich, Dienstleister |
Was typischerweise delegiert werden kann
- Erstellung und Pflege von Policies, Standards und Prozessen
- Durchführung von Risikoanalysen und Vorbereitung von Risikoentscheidungen
- technische Umsetzung von Sicherheitsmaßnahmen
- Incident Handling und Vorbereitung behördlicher Meldungen
- Lieferantenbewertungen und Nachweisprüfung
- Kontrolltests, Reporting und Maßnahmenverfolgung
- Schulungsorganisation und operative Dokumentation
Entscheidend ist, dass die zuständige Rolle fachlich geeignet ist und ausreichend Mandat erhält.
Welche Leitungs- und Überwachungsfunktion verbleibt
§ 38 BSIG stellt die Geschäftsleitung ausdrücklich in die Verantwortung für Umsetzung und Überwachung. Daraus folgt für die Organisation, dass die Geschäftsleitung nicht nur einen Verantwortlichen benennen und anschließend aus dem Prozess aussteigen sollte.
Sie benötigt mindestens eine nachvollziehbare Überwachungsstruktur: regelmäßiges Reporting, Eskalation kritischer Abweichungen, Entscheidungen zu wesentlichen Risiken und Ressourcen sowie ausreichende eigene Kenntnisse.
Anforderungen an ein wirksames Mandat
Scope
Welche Gesellschaften, Standorte, Dienste und Themen umfasst das Mandat?
Kompetenz
Welche Entscheidungen darf die Rolle selbst treffen?
Ressourcen
Welche personellen, finanziellen und technischen Mittel stehen zur Verfügung?
Eskalation
Wann und an wen müssen kritische Risiken oder Blockaden gemeldet werden?
Reporting
Welche Kennzahlen, Risiken und Gaps werden in welchem Rhythmus berichtet?
Stellvertretung
Wer handelt bei Abwesenheit, insbesondere bei zeitkritischen Vorfällen?
RACI-Beispiel
| Aktivität | Geschäftsleitung | CIO/CISO | Fachbereich | Legal |
|---|---|---|---|---|
| Scope bestätigen | A | R | C | C |
| Risikomethodik | A | R | C | C |
| wesentliche Risikoakzeptanz | A | R | C | C |
| Incident Response | I/A bei Eskalation | R | R/C | C |
| gesetzliche Meldung | I/A gemäß Governance | R | C | R/C |
| Management Review | A | R | C | C |
R = Responsible, A = Accountable, C = Consulted, I = Informed. Das Beispiel muss an Rechtsform und Organisation angepasst werden.
Berichtslinien und Eskalationsschwellen
Delegation funktioniert nur, wenn kritische Themen zuverlässig zurück auf die Leitungsebene gelangen. Eskalationskriterien sollten beispielsweise erhebliche Sicherheitsvorfälle, gesetzliche Meldepflichten, kritische Restrisiken, überfällige Hochrisiko-Maßnahmen, unzureichende Wiederherstellungstests oder wesentliche Lieferantenrisiken umfassen.
Interessenkonflikte und unabhängige Kontrolle
Eine Rolle sollte nicht gleichzeitig jede Kontrolle definieren, ausführen und abschließend ihre eigene Wirksamkeit beurteilen. Wo organisatorisch möglich, sollten operative Durchführung, fachliche Steuerung und unabhängige Prüfung angemessen getrennt werden. In kleineren Unternehmen kann diese Trennung durch Managementreview, externe Prüfung oder gezielte Second-Line-Kontrollen unterstützt werden.
Welche Delegation nachvollziehbar dokumentiert werden sollte
- Rollen- und Funktionsbeschreibung
- Geltungsbereich und Kompetenzen
- Entscheidungs- und Unterschriftsbefugnisse
- Budget- und Ressourcenrahmen
- Berichts- und Eskalationspflichten
- Vertretungsregelung
- Managementbeschluss oder formale Beauftragung
- regelmäßige Überprüfung des Mandats
Typische Fehlerbilder
- „NIS2-Verantwortlicher“ ohne tatsächliche Entscheidungsbefugnis.
- Verantwortung ohne Budget oder Personal.
- keine Vertretung für zeitkritische Melde- oder Incident-Prozesse.
- Geschäftsleitung erhält nur Jahresberichte und keine Eskalationen.
- Risikoakzeptanzen werden auf operative Ebenen verschoben, obwohl ihre Tragweite eine Leitungsentscheidung erfordert.
- Rollenbeschreibungen existieren, aber die gelebte Organisation funktioniert anders.
Jährliche Überprüfung der Delegation
| Prüffrage | Nachweis |
|---|---|
| Ist der Scope noch aktuell? | Organigramm, Gesellschafts- und Serviceübersicht |
| Reichen Mandat und Ressourcen? | Budget, Kapazitäten, offene Eskalationen |
| Funktioniert das Reporting? | Managementberichte und Beschlüsse |
| Werden kritische Themen rechtzeitig eskaliert? | Incident- und Risk-Logs |
| Ist die Stellvertretung wirksam? | Vertretungsregel und Test |
| Sind Rollen und tatsächliche Praxis deckungsgleich? | Interviews, Reviews, Auditnachweise |
FAQ zu Verantwortung und Delegation
Kann ein CIO oder CISO „die NIS2-Haftung übernehmen“?
Eine pauschale Übertragung persönlicher Haftung lässt sich aus einer internen Rollenübertragung nicht ableiten. Haftung richtet sich nach Gesetz, Rechtsform, konkreten Pflichten und Umständen des Einzelfalls. Organisatorische Delegation ersetzt keine juristische Prüfung.
Was ist wichtiger: Verantwortlichkeit oder Befugnis?
Beides muss zusammenpassen. Verantwortung ohne Kompetenz, Budget, Eskalationsrecht und Zugriff auf notwendige Informationen ist organisatorisch schwach.
Wie oft sollte das Mandat geprüft werden?
Regelmäßig und bei wesentlichen Änderungen, etwa Reorganisationen, neuen Gesellschaften, Änderungen des Scopes oder erheblichen Vorfällen.
Passende NIS2 Resources
Je nach Ausgangslage führt der nächste Schritt entweder zur strukturierten Standortbestimmung oder direkt zur organisatorischen Umsetzung.
NIS2 Self-Assessment Toolkit
Reifegrad bewerten, Executive Gaps erkennen und Managementprioritäten ableiten.
NIS2 Governance Toolkit
Richtlinien, Standards, Prozesse, Rollen, Register, Nachweise und Umsetzungshilfen aufbauen.
Verwandte NIS2-Themen
NIS2 für die Geschäftsleitung
Leitungs-, Überwachungs- und Schulungspflichten im Gesamtzusammenhang verstehen.
NIS2-Dokumente und Nachweise
Mandate, Rollen, Freigaben und Governance-Nachweise nachvollziehbar dokumentieren.
NIS2-Umsetzungsplan
Verantwortlichkeiten und Eskalationswege in die konkrete Umsetzung überführen.
NIS2 Reference Edition
Der vollständige fachliche Überblick zu NIS2 in Deutschland.
NIS2 Executive Self-Assessment
Standort bestimmen, Executive Gaps erkennen und Handlungsbedarf priorisieren.
NIS2 Governance Toolkit
Richtlinien, Standards, Prozesse, Rollenmodelle, Vorlagen und Nachweise für die Umsetzung.
Quellen und Rechtsstand
Die Seite wurde am 9. August 2026 fachlich gegen den aktuellen deutschen Rechtsrahmen und die veröffentlichten Informationen des BSI geprüft. Maßgeblich bleibt der jeweils geltende Gesetzes- und Behördenstand.
- BSI-Gesetz (BSIG) – konsolidierter Gesetzestext
- BSI: NIS-2-regulierte Unternehmen
- BSI: NIS-2-Pflichten
Hinweis: Diese Seite dient der fachlichen Orientierung und ersetzt keine Rechtsberatung oder Einzelfallprüfung.